Zainfekowana witryna

Konta hostingowe są automatycznie skanowane pod kątem zainfekowanych witryn. W przypadku wystąpienia takiego zdarzenia praca witryny jest natychmiastowo wstrzymywana, a właściciel konta hostingowego powiadamiany wiadomością e-mail. Zainfekowane pliki (najczęściej z rozszerzeniem .php, .aspx) wgrywane są w nieautoryzowany sposób i zazwyczaj nie należą do aplikacji. Po przeanalizowaniu plików należy je usunąć.
 
Powiadomienie e-mail o zainfekowanej witrynie zawiera informację o witrynie oraz nazwie konta hostingowego.
 
 
W celu rozwiązania problemu należy zapoznać się z poniższymi metodami. Głównym sposobem wyszukiwania zainfekowanych plików jest skaner antywirusowy dostępny w zakładce "Antywirus" w formularzu edycji witryny. Pozostałe dwie metody należy traktować jako uzupełniające.
 
Informacje w tym artykule: 
 
 
Metoda 1. Skanowanie plików programem antywirusowym z poziomu formularza edycji witryny
 
Zalogować się w Panelu zarządzania kontem hostingowym.

Przejść do formularza edycji witryny: Witryny -> Nazwa witryny -> zakładka Antywirus.

Lista zainfekowanych plików powinna być widoczna w sekcji "Infected files" (w przypadku braku tej sekcji kliknąć przycisk "Scan Site", aby wykonać skanowanie na żądanie. Po zakończeniu skanowania przejść ponownie do formularza edycji witryny. Jeżeli wynik skanowania zwrócił status "Clean" przejść do kolejnych metod).
 
Poprzez Menadżera plików (panel.webio.pl -> Menadżer plików) przejść do katalogu wwwroot danej witryny i sprawdzić zawartość zainfekowanych plików z listy (poniższa zawartość jest typowym przykładem złośliwego oprogramowania). Jeśli pliki nie należą do aplikacji wszystko wskazuje na to, że zostały zainfekowane i wgrane w nieautoryzowany sposób - należy je bezzwłocznie usunąć.  Złośliwy kod może być "dołączony" również do pliku należącego do aplikacji (w takim wypadku należy usunąć linijki tylko ze złośliwym kodem).  Ostatnim etapem jest ponowne przeskanowanie witryny z poziomu formularza edycji witryny.

 
 
Metoda 2. Sprawdzenie logów
 
W wynikach wyszukiwania mogą znaleźć się również pliki aplikacji, które nie są zainfekowane, dlatego istotne jest dokładne ich przeanalizowanie.
Przejść do Menadżera plików, a następnie w katalogu z nazwą domeny do podkatalogu logs.
 
 
Otworzyć katalog W3S... (jeżeli w katalogu logs znajduje się więcej niż jeden katalog z logami należy otworzyć ten, który posiada nowszą datę modyfikacji, gdyż w którymś momencie witryna została usunięta i utworzona na nowo otrzymując w ten sposób inny numer w wewnętrznej numeracji IIS).
 
 
Odnaleźć najnowszy plik z logiem znajdujący się na samym dole katalogu.
 
 
Pobrać i otworzyć plik w dowolnym edytorze tekstu. Podejrzane pliki znajdują się po XX.XX.XX.XX GET oraz XX.XX.XX.XX POST, gdzie XX.XX.XX.XX jest adresem IP witryny.
 
 
 
 
Metoda 3. Pobranie katalogu witryny i wyszukanie złośliwego kodu w jej plikach
 
W wynikach wyszukiwania mogą znaleźć się również pliki aplikacji, które nie są zainfekowane, dlatego istotne jest dokładne ich przeanalizowanie.
 
Rozpakować katalog wwwroot i w programie Total Commander (lub dowolnym, innym) przejść do tego katalogu. Uruchomić funkcję wyszukiwania wybierając z menu Polecenia → Szukaj (skrót klawiszowy: Alt F7)
 
 
Jako że infekowane są pliki z rozszerzeniem PHP, w polu Szukana sekw. wprowadzić wyrażenie: *.php i zaznaczyć checkbox Znajdź tekst wprowadzając eval(. Kliknąć Zacznij szukać.
 
 
 
 
Sprawdzenie i usunięcie plików
 
Przeanalizować znalezione pliki pod kątem występowania funkcji eval(); gdzie parametrami są ciągi wielu cyfr i liter (przykładowy kod na poniższych zrzutach ekranu). Jeśli pliki nie należą do aplikacji wszystko wskazuje na to, że zostały zainfekowane i wgrane w nieautoryzowany sposób - należy je bezzwłocznie usunąć. Ostatnim krokiem jest wznowienie pracy witryny i puli aplikacji.
 
 
 
Wznowienie pracy witryny i puli aplikacji
 
W sekcji Sieć i aplikacje kliknąć ikonę Witryny.
 
 
Przejść do właściwości witryny klikając jej nazwę.
 
 
Kliknąć na ikonę uruchamiającą pracę witryny i puli aplikacji (Website Status oraz App Pool Status powinien zmienić się na "Uruchomiona"). Sprawdzić działanie witryny w przeglądarce internetowej.
 
  • 0 Klienci ocenili te informacje jako pomocne
Czy ta informacja była pomocna?

Podobne

Nie dochodzą wiadomości od niektórych nadawców

Sprawdzić czy adres e-mail nadawcy znajduje się na liście zablokowanych: Blokowanie i...

Znak kropki w adresie URL

Użycie znaku kropki '.' w adresie URL jest automatycznie odrzucane przez Serwer IIS, dlatego...

Błąd HTTP Error 404.15 - Not found i rozwiązanie problemu

HTTP Error 404.15 - Not found  The request filtering module is configured to deny a request...

Zbyt duża zajętość przestrzeni dyskowej

Pod koniec każdego tygodnia nasz system automatycznie sprawdza zajętość przestrzeni. W przypadku...

Błąd "Cannot execute a program. The command being executed was ...\wwwroot\bin\roslyn\csc.exe"

Błąd "Cannot execute a program. The command being executed was ...\wwwroot\bin\roslyn\csc.exe"...